Projekt, wrześniowa data i jeden profil usługi

24 lipca ENISA skierowała do konsultacji publicznych projekt europejskiego schematu dla zarządzanych usług bezpieczeństwa, znanego jako EUMSS. Juhan Lepassaar, dyrektor wykonawczy agencji, streścił cel w jednym zdaniu: "Common baselines can guarantee a level of confidence in services offered." Konsultacje prowadzone są przez portal EU Survey i kończą się 13 września 2026 roku.

Podstawą prawną jest artykuł 48 ustęp 1 Cybersecurity Act w brzmieniu nadanym rozporządzeniem (UE) 2025/37, które Komisja przyjęła 15 stycznia 2025 roku właśnie po to, by umożliwić europejską certyfikację usług, a nie wyłącznie produktów. Komisja zleciła ENISA opracowanie schematu kandydującego 25 kwietnia 2025 roku. 25 czerwca 2025 roku ogłoszono nabór ekspertów, a 13 października 2025 roku odbyło się spotkanie inauguracyjne powołanej grupy roboczej ad hoc.

To, co powstało dziewięć miesięcy później, jest węższe niż mandat. Projekt obejmuje pionowy obszar cyklu życia zarządzania incydentami, a w jego ramach jeden profil usługi: reagowanie na incydenty.

Pięć wymienionych w prawie, jedna objęta projektem

Definicja zarządzanych usług bezpieczeństwa w znowelizowanym akcie sięga pięciu czynności: monitorowania bezpieczeństwa i wykrywania incydentów, reagowania na incydenty, testów penetracyjnych, audytów bezpieczeństwa oraz doradztwa w zakresie cyberbezpieczeństwa. Projekt certyfikuje drugą z nich. Pozostałe cztery nie są co do zasady wyłączone, ponieważ struktura została celowo zbudowana tak, by przyjmować kolejne profile usług, ale w pierwszej wersji ich nie ma.

Ta kolejność zasługuje na chwilę uwagi. Reagowanie na incydenty to usługa, po którą sięgasz, gdy coś już poszło źle. Monitorowanie i wykrywanie to usługa, za którą płacisz co miesiąc po to, żeby nie poszło. Wkrótce dostawca będzie mógł zgodnie z prawdą powiedzieć, że posiada europejski certyfikat dla zarządzanych usług bezpieczeństwa, podczas gdy ciągła część jego umowy z tobą nigdy nie była oceniana w ramach tego schematu.

To mniej krytyka przyjętej kolejności, a bardziej ostrzeżenie przed tym, jak znak zostanie odczytany. Znaki certyfikacji podróżują dalej i szybciej niż opisy ich zakresu.

Dlaczego basic i high nic nie mówią o platformie

Schemat ma budowę warstwową. Warstwa pozioma ustala wymagania podstawowe obowiązujące każdą zarządzaną usługę bezpieczeństwa certyfikowaną w jego ramach, a warstwa pionowa niesie wymagania właściwe dla poszczególnego profilu. Podstawa pozioma obejmuje bezpieczne projektowanie usługi i platformy, zarządzanie wdrożeniem i przejściem, zarządzanie dostępnością i ciągłością, operacyjne zarządzanie usługą oraz ciągłe doskonalenie wraz z utrzymaniem technologii.

Istnieją trzy poziomy uzasadnionego zaufania: basic, substantial i high. Szczegół, który warto wydobyć z projektu, jest taki, że owe poziome wymagania podstawowe stanowią obowiązkowy warunek wstępny dla każdego certyfikowanego profilu i brzmią tak samo na wszystkich trzech poziomach. Poziom różnicuje zatem warstwę pionową, a nie fundament. Mówiąc wprost, dostawca z certyfikatem high wykazał więcej co do sposobu prowadzenia działania w reagowaniu na incydenty i dokładnie tyle samo co dostawca z poziomu basic co do tego, jak zaprojektowana i utrzymywana jest jego platforma.

Osiemnaście miesięcy do projektu, a klientem kotwicą jest Bruksela

Policz kalendarz. Od podstawy prawnej z 15 stycznia 2025 roku do projektu otwartego na uwagi 24 lipca 2026 roku mija osiemnaście miesięcy. Uwagi zamykają się 13 września, potem następuje przyjęcie. Dostawcy zaopatrujący unijną rezerwę cyberbezpieczeństwa mają następnie dwa lata od wejścia w życie na uzyskanie certyfikatu.

Ta ostatnia klauzula jest właściwym mechanizmem i warto nazwać ją precyzyjnie. Dla rynku prywatnego schemat jest dobrowolny. Dla dostawców zaopatrujących własną rezerwę zdolności reagowania Unii już nie. UE uczyniła sama siebie klientem kotwicą i pozostawiła znak opcjonalnym dla wszystkich innych, co jest zwykłą drogą, którą dobrowolny schemat staje się faktycznym wymogiem przetargowym, choć nikt tego nie uchwala. Licz się z tym, że EUMSS pojawi się jako pozycja punktowana w zamówieniach publicznych na długo przed tym, zanim będzie kompletny.

O co zapytać dostawcę przed 13 września

Trzy rzeczy warto teraz ustalić. Po pierwsze, zapytaj, wobec którego profilu usługi twój dostawca zamierza się certyfikować i czy usługa, którą faktycznie kupujesz, mieści się w środku. Jeśli twoja umowa dotyczy monitorowania i wykrywania, uczciwa odpowiedź brzmi dziś: nie. Po drugie, zapytaj, o który poziom uzasadnionego zaufania będzie się starał, i każ mu wyjaśnić, co to zmienia, skoro podstawa nie przesuwa się między poziomami.

Po trzecie, potraktuj konsultacje jako otwarty kanał wpływu, a nie jako ogłoszenie. Uwagi zamykają się 13 września, a otwarty jest właśnie zakres pierwszej wersji. Kupujący są w takich konsultacjach systematycznie niedoreprezentowani wobec dostawców i jednostek oceniających zgodność. W Polsce znaczną część tego obszaru porządkuje już NASK wraz ze strukturą zespołów CSIRT, więc polski dostawca będzie prowadził krajowe odniesienie i europejski certyfikat obok siebie. Obowiązek dotyczący łańcucha dostaw wynikający z NIS2 i tak spoczywa na tobie, przez co zakres tego schematu nie jest czymś, co możesz oddać dostawcy.

Czytaj dalej: UE sama będzie oceniać czołowe modele AI  |  Suwerenny dostawca bierze własny kod w licencję